Investigar Sophos Endpoint Detections e Threat Graphs

Uma Detection mostra atividade invulgar ou suspeita que a Sophos ainda não bloqueou como ameaça conhecida. É, portanto, um sinal a investigar, não a prova de uma defesa bem-sucedida nem um incidente confirmado. Threat Lineage representa os processos que conduziram a uma Detection. Numa deteção de malware, um Threat Graph mostra a Root Cause, o percurso do ataque e os artefactos afetados.

O fluxo seguro é: delimitar a Detection, ler os detalhes e os dados em bruto, examinar Lineage ou Threat Graph, procurar ocorrências semelhantes e só depois conter ou corrigir, quando houver evidência suficiente. Cases e ações de resposta são tratados neste artigo apenas como pontos de passagem; Detection Rules próprias, operação de Cases e Live Response pertencem aos runbooks ligados.

Requisitos, plataformas e funções

O tenant necessita de Sophos EDR, XDR ou MDR para Threat Analysis Center > Detections e Threat Lineage. Os produtos envolvidos têm de enviar dados para o Sophos Data Lake. Sem esta telemetria, não são criadas Detections para este fluxo.

Threat Graphs estão disponíveis com Sophos Endpoint, EDR, XDR ou MDR, mas atualmente apenas para dispositivos Windows e Mac. As deteções por Deep Learning de aplicações potencialmente indesejadas (ML PUA) não criam Threat Graph. A Sophos indica a consulta Live Discover Threat Hunting para procurar o nome de ficheiro ou SHA-256 comunicado; a consulta concreta não é recriada aqui.

Ver um graph e executar uma resposta nele são permissões diferentes:

• Super Admin e Admin podem pedir e ver Intelligence Reports, ver itens bloqueados, pedir e ver On-Demand-Threat-Graphs, isolar e retirar dispositivos do isolamento, gerir Clean and block e pedir Forensic Snapshots.
• Help Desk pode pedir e ver Intelligence Reports, ver itens bloqueados, pedir e ver On-Demand-Threat-Graphs e pedir Forensic Snapshots, mas não pode isolar nem gerir Clean and block.
• Read-only, com XDR, pode ver intelligence, itens bloqueados e On-Demand-Threat-Graphs, mas não executar nenhuma destas ações de resposta.
• Uma função personalizada precisa da permissão correspondente. Para retirar um isolamento administrativo, a Sophos exige explicitamente Super Admin, Admin ou uma Custom Role com essa permissão.

Os botões que um administrador efetivamente vê dependem também da licença, da origem da Detection e da Severity. Por isso, quando uma ação não aparece, verifique primeiro estes três requisitos e só depois considere um erro da interface.

1. Fazer a triagem de Detections

Abra Threat Analysis Center > Detections. As Detections podem ter origem em produtos Sophos e, através de integrações MDR/XDR, também em produtos de terceiros. Por predefinição, o gráfico de barras e a lista mostram as últimas 24 horas. No gráfico, o controlo deslizante reduz ou amplia o período visível; ao passar sobre um segmento de uma barra aparece o número de ocorrências, e um clique filtra por essa Severity. No menu de tempo, defina um período comum ou absoluto e verifique Severity, Type, Detection, Time, Entity, Category, Source e o mapeamento MITRE ATT&CK. Atualmente, Type distingue Threat de Vulnerability; Category identifica o tipo de origem, como Endpoint, Network, Firewall, Email, Cloud, ID provider ou Platform. As Platform Detections correlacionam eventos aparentemente não relacionados provenientes de várias origens. Em Show filters, pode limitar, entre outros, Severity, Type, utilizador, dispositivo e MITRE ATT&CK Tactic. Os nomes de utilizadores e dispositivos são introduzidos livremente; nas listas extensas está disponível Select all. Apply aplica os filtros e Reset to defaults remove-os. A filtragem e ordenação funcionam tanto na vista agrupada como na não agrupada; Severity é ordenada por Priority.

Numa NDR Detection, correlacione Category, Source, a janela temporal, o IP de origem e o IP de destino com os dados da appliance ou do sensor registados antes do teste autorizado. Uma deteção de teste do Sophos NDR autorizada apenas demonstra que o caminho de captura e deteção testado funciona. Não comprova a cobertura integral da rede nem um incidente real.

Associe ao teste apenas a deteção inequivocamente correlacionada. Sinais NDR adicionais ou divergentes pertencem à triagem XDR ou MDR normal. O Sophos Support pode isolar erros no produto ou no caminho dos dados, mas não investiga uma Detection. A vista Detections continua a requerer uma licença EDR, XDR ou MDR; o NDR, por si só, não é suficiente.

Group by > Detection ID agrupa eventos correspondentes à mesma regra. Para avaliar a extensão, use também a vista não agrupada: várias linhas podem representar dispositivos ou momentos diferentes da mesma técnica. O menu de três pontos permite abrir uma Detection num novo separador ou copiar a respetiva ligação. Ao comparar várias Detections, abra-as em separadores próprios em vez de tentar comparar de memória valores de painéis de detalhes que vão mudando.

A triagem inicial responde a quatro perguntas:

1. Que dispositivo e utilizador são afetados?
2. Que processos, linhas de comando e momentos pertencem à Detection?
3. A atividade é esperada para este utilizador, dispositivo e período?
4. Existem Detections semelhantes, Alerts adicionais ou outros dispositivos afetados?

Clique na linha para abrir o painel de detalhes. Aí, Copy device name copia o nome do dispositivo, Open device details abre o dispositivo e Detections on device mostra as suas outras Detections. Similar detections filtra a lista principal para resultados comparáveis. Raw Data apresenta os dados subjacentes quando o resumo não basta. As opções de pivot iniciam uma consulta Live Discover ou Data Lake disponibilizada; os Enrichments abrem fontes de Threat Intelligence disponíveis, como VirusTotal ou um relatório SophosLabs Intelix existente. Consoante o contexto, Actions pode disponibilizar uma análise ou Live Response. Utilize apenas os pivots disponibilizados no Central e confirme o respetivo período e destino, em vez de adotar uma consulta de exemplo não comprovada. Uma avaliação SophosLabs só aparece se o software antimalware tiver enviado o ficheiro ou se um administrador tiver pedido intelligence atualizada.

Pontos de partida habituais incluem comandos invulgares de Discovery, Persistência, Evasão ou Credential Theft, Malware Alerts como Dynamic Shellcode Prevention, Linux Runtime Detections como uma fuga de contentor, bem como indicações de software desatualizado ou browsers inseguros. Estes exemplos ajudam a definir prioridades de investigação, mas não confirmam por si só um ataque. Expanda a MITRE Tactic, verifique a Technique associada e, se necessário, abra a respetiva página MITRE. Decida depois com base nos dados concretos do processo e do dispositivo.

2. Ler Threat Lineage

Nos detalhes da Detection, abra o separador Lineage e selecione Open Lineage Graph. Em alternativa, abra um Case em Threat Analysis Center > Cases e mude para Detections. Se o separador não existir, esta Detection não suporta a função. Se ainda não houver graph, aparece Generate. Quando uma Detection cria um Case, a Sophos gera o graph automaticamente.

A Lineage distingue processos normais, processos afetados, o acionador da Detection e atividades centrais; a legenda mostra os símbolos e a quantidade de cada tipo. O graph contém o percurso de processos até à Detection e pode também mostrar processos e atividades que dele se ramificam. Passe sobre um processo para ver os dados básicos e a linha de comando; utilize os três pontos junto ao processo ou junto de um valor em Info para abrir os pivots Live Discover disponibilizados; clique no processo para consultar Info e Activities. Uma Lineage criada automaticamente já mostra atividades de um processo afetado; numa Lineage criada manualmente, Enrich carrega primeiro três dias desde o início do processo e, a cada novo clique, mais três dias. O início da cronologia Enrich assinala a data e hora da Initial Detection. As atividades podem ser filtradas por tipo e ação e expandidas para ver os dados em bruto. O ícone do olho junto de um processo relacionado apresenta-o no graph. A pesquisa no canto superior esquerdo mostra resultados em Info, Activities e Matching Results. O botão de exportação grava a Lineage como CSV; se a exportação falhar, selecione primeiro um processo e volte a iniciá-la.

O graph permanece disponível durante sete dias. Pode ser criado novamente enquanto os dados XDR Data Lake forem conservados, período que a Sophos descreve como normalmente 90 dias. Não se trata de uma garantia para todos os tenants. Um comentário de IA sobre a linha de comando, quando disponível, pode dar pistas, mas não substitui a verificação do caminho, processo pai, utilizador, momento e dados em bruto.

3. Analisar um Threat Graph

Abra Threat Analysis Center > Threat Graphs e clique no nome de um graph. A lista contém os últimos 90 dias e pode ser filtrada por Device, Status ou Priority. A pesquisa encontra graphs por utilizador, dispositivo ou nome da ameaça; as colunas podem ser ordenadas. Consoante a vista, a lista mostra Status, hora de criação, Priority, nome, administrador que o criou, utilizador, dispositivo e tipo de dispositivo. Com uma licença MDR, a Sophos separa em separadores os graphs criados automaticamente, os criados por administradores do Central e os criados pelo MDR; a Sophos indica atualmente que o separador dos graphs criados pelo MDR não é utilizado. Sem MDR, esta separação em separadores não existe.

Percorra a página de detalhes por esta ordem:

1. Em Summary, leia Root cause, Possible data involved, dispositivo, utilizador e momento.
2. Em Suggested next steps, verifique a Priority definida automaticamente, mas alterável, e o Status definido por predefinição como New. Depois de mudar para In progress, não é possível repor o Status como New. Quando a ação está disponível, Scan the device inicia uma análise; a verificação dos resultados é descrita no runbook de Threat Cleanup.
3. Abra Analyze. Show full graph é a vista predefinida e mostra a Root Cause, o item detetado, as aplicações, os ficheiros e as Registry Keys afetados, bem como as respetivas relações. Show direct path reduz a apresentação ao percurso direto desde a Root Cause até ao item detetado.
4. Clique nos itens relevantes. Process details mostra, entre outros, global reputation, caminho, nome, linha de comando, Process ID, utilizador que executou o processo, SHA-256, início, fim e duração.
5. Se aparecer No current intelligence on this file, o ficheiro ainda não foi enviado. Utilize Request latest intelligence apenas se o ficheiro puder ser enviado para SophosLabs: o Central pede então ao computador que faça o carregamento. A nova avaliação, com Reputation e Prevalence, aparece normalmente após alguns minutos. A escala vai de vermelho para malicioso conhecido a verde para limpo conhecido; laranja pode significar apenas que se trata de um ficheiro novo. Reputation, Prevalence e características de Machine Learning são avaliadas em conjunto com a origem e o comportamento.
6. Na seleção de tipos do graph, apresente apenas os tipos de artefactos necessários nesse momento. Em seguida, verifique na Artifacts list, pelo menos, Name, Type, Reputation, Time logged e Interactions; um clique no nome abre os detalhes. Se necessário, exporte a lista através de Export to CSV. Graph record mostra o histórico desde a criação pela Sophos ou por um administrador e permite acrescentar comentários sobre os passos da investigação.
7. Se a telemetria central não for suficiente, selecione um snapshot em Analyze > Create forensic snapshot, mas apenas depois de esclarecer o local de armazenamento, o acesso e o processo de análise. As opções de configuração poderão ainda não estar disponíveis em todos os tenants. O acesso local exige a palavra-passe de Tamper Protection e uma linha de comandos elevada. O runbook sobre isolamento e Live Response descreve caminhos locais, carregamento para S3 e conversão.

Enquadrar a intelligence avançada de ficheiros

Com XDR, Process details complementa o conjunto de dados básico com Report summary, Machine learning analysis, Code similarity, File properties e File breakdown. Prevalence, First seen e Last seen descrevem a disseminação observada pela SophosLabs, não se o ficheiro é benigno no seu tenant. A vista de Machine Learning avalia, entre outros, imports, strings suspeitas, compilador, Exploit Mitigations, recursos, indícios de packers, características PEiD, endereços Bitcoin e constantes criptográficas suspeitas. Code similarity compara o ficheiro com ficheiros conhecidos como legítimos e maliciosos.

Em File properties encontram-se, por exemplo, produto, tipo, Copyright, fabricante, versão, tamanho e carimbos de data/hora. File breakdown mostra as secções PE, incluindo o tamanho no disco e na memória, a entropia e as propriedades Read/Write/Execute; PE Imports e Exports mostram as DLL, API e funções disponibilizadas utilizadas. Nenhuma característica isolada prova que o ficheiro é malicioso. Avalie a combinação de assinatura, origem, cadeia de execução, comportamento, Prevalence e resultados de comparação, e utilize Search for item para avaliar a extensão antes de considerar Clean and block. Um administrador autorizado controla os ficheiros bloqueados em Global Settings > Protection and Remediation > Allow and Block > Files > Blocked Items.

A Sophos cria automaticamente um Threat Graph quando deteta malware que exige investigação adicional. Isto não se aplica a todas as mensagens de segurança; em particular, ML PUA Detections não criam um graph. Se uma Detection não tiver graph, prossiga com os detalhes da Detection, Raw Data e a Lineage suportada, sem interpretar a ausência como confirmação de segurança.

Um On-Demand-Threat-Graph só pode ser criado a partir de resultados Live Discover em que o Central disponibiliza a ação: abra Threat Analysis Center > Live Discover, selecione uma consulta suportada, defina os dispositivos de destino para uma Endpoint Query ou o período para uma Data Lake Query e execute a consulta. As Data Lake Queries incluem sempre todos os endpoints. No resultado, abra o menu de três pontos junto a Path e selecione Actions > Generate a threat graph. O graph aparece depois no separador Admin generated. Esta disponibilidade depende da consulta, da licença e da função. Sophos Endpoint Data Collection e Live Discover explica os fundamentos das consultas.

4. Entregar corretamente o Case e a resposta

Cases também requerem EDR, XDR ou MDR. Quando várias Detections estão relacionadas ou precisam de responsável, selecione-as em Threat Analysis Center > Detections. Actions > Add to Case associa-as a um Case existente; em seguida, o nome do Case aparece na coluna Cases e na parte inferior do painel de detalhes da Detection. Actions > Create Case pede nome, descrição, Severity, Status (New ou Investigating) e Assignee. A Sophos utiliza Critical para comprometimento confirmado ou acesso não autorizado, High para indícios de um ataque direcionado, Medium para atividade que poderá não ser maliciosa por si só, Low para ocorrências sem sinais de um Health State deficiente ou comprometimento e Info, geralmente, para as primeiras verificações de integridade.

Os Self-managed Cases podem ter os estados Investigating, On Hold ou Resolved durante a operação; o Status pode ser alterado mesmo antes de se atribuir um Owner. Os Sophos-managed Cases utilizam Investigating, Action required ou Resolved; Action required exige uma ação do cliente e notifica os contactos. O cabeçalho da página de detalhes mostra Severity, Status, Owner e as horas de criação, atribuição e alteração. Em Overview encontram-se o resumo, as MITRE Techniques, os dispositivos, os utilizadores e as atividades mais recentes; Detections, Notebook e History separam ocorrências, notas de investigação e alterações. Num Self-managed Case, Ask Sophos AI pode apoiar a investigação; o resumo e a análise das linhas de comando continuam a ter de ser verificados face aos dados em bruto e à cronologia. Com MDR, a equipa MDR escreve o resumo; com XDR, é o próprio cliente que o cria, por sua conta ou com Sophos AI. O cliente não pode alterar um Sophos-managed MDR Case, mas pode trocar mensagens e anexos através de Messages. As mensagens chegam à equipa MDR e também são copiadas para os contactos autorizados.

Se a lista de Cases permanecer vazia, aguarde primeiro pela criação automática e verifique depois se existem Detections. Para produtos Sophos, confirme o carregamento para o Data Lake; para origens de terceiros, confirme a integração de Data Ingest. A operação propriamente dita dos Cases está fora deste fluxo de investigação e é explicada em Operar Sophos XDR Cases e Detection Rules. O Sophos Support não investiga Detections individuais; MDR é o serviço previsto para monitorização e resposta 24/7. Perante uma suspeita de intrusão ativa, Sophos Rapid Response é a via separada de assistência urgente paga.

A resposta ocorre apenas após uma conclusão bem fundamentada:

• Para um graph de alta prioridade com licença XDR, Suggested next steps > Isolate this device oferece isolamento, desde que o dispositivo ainda não se tenha isolado automaticamente. A gestão pelo Central e o envio de ficheiros continuam disponíveis.
• Search for item utiliza XDR para encontrar outras ocorrências. Se houver resultados, a página permite isolar os dispositivos afetados.
• Clean and block é uma ação XDR para um ficheiro confirmado como malicioso. Limpa o ficheiro, os ficheiros associados e as Registry Keys nos dispositivos Windows onde foram encontrados e bloqueia o ficheiro em todos os dispositivos Windows. Não é um teste para uma avaliação incerta.
• Um administrador autorizado gere vários dispositivos isolados administrativamente através do ícone Global Settings e Protection and Remediation > Allow and Block > Network > Admin Isolated Devices. A lista não inclui dispositivos autoisolados devido a um Health Status vermelho.

Antes de retirar o isolamento, verifique outras ocorrências, persistência, correção e o estado do dispositivo. O isolamento prático e o acesso controlado ao terminal estão descritos em Isolar Sophos Endpoint e investigar com Live Response. Para limpeza de malware, mensagens de exploit e falsos positivos, consulte Sophos Endpoint Threat Cleanup e remoção de malware.

Critérios de encerramento

Não feche um Threat Graph apenas porque a Reputation parece benigna. Registe, pelo menos, Root Cause, dispositivos e utilizadores afetados, SHA-256 relevantes, pesquisas de extensão, ações executadas e respetivos resultados. Confirme depois que não existem outras ocorrências visíveis, que os dispositivos esperados voltam a comunicar um Health State plausível e que os Cases necessários têm um Owner e um Status rastreável. Só então selecione o graph na lista e clique em Close.

Perguntas frequentes